Sensör konsolundan OT ağ algılayıcılarını koruma

Bu makalede, daha büyük bir dağıtım işlemi dışında gerçekleştirebileceğiniz ek OT algılayıcı bakım etkinlikleri açıklanmaktadır.

OT algılayıcıları OT algılayıcı CLI'sından, Azure portalından ve şirket içi yönetim konsolundan da korunabilir.

Önkoşullar

Bu makaledeki yordamları gerçekleştirmeden önce şunlara sahip olduğunuzdan emin olun:

• Azure portalında IoT için Defender'a yüklenen, yapılandırılan ve etkinleştirilen ve eklenen bir OT ağ algılayıcısı.

• Yönetici kullanıcı olarak OT algılayıcısına erişim. Seçilen yordamlar ve CLI erişimi de ayrıcalıklı bir kullanıcı gerektirir. Daha fazla bilgi için bkz . IoT için Defender ile OT izleme için şirket içi kullanıcılar ve roller.

• OT algılayıcıları için yazılım indirmek için Azure portalına Güvenlik Yöneticisi, Katkıda Bulunan veya Sahip kullanıcısı olarak erişmeniz gerekir.

• Algılayıcınızın sertifikasını güncelleştirmeniz gerekiyorsa hazırlanmış bir SSL/TLS sertifikası.

Genel OT algılayıcı durumunu görüntüleme

OT algılayıcınızda oturum açtığınızda, gösterilen ilk sayfa Genel Bakış sayfasıdır.

Örneğin:

Genel Bakış sayfasında aşağıdaki pencere öğeleri gösterilir:

Algılayıcınızda daha fazla bilgi için detaya gitmek için her pencere öğesindeki bağlantıyı seçin.

Bağlantı durumunu doğrulama

OT algılayıcınızın doğrudan OT algılayıcısının Genel Bakış sayfasından Azure portalına başarıyla bağlandığını doğrulayın.

Bağlantı sorunları varsa, Genel Bakış sayfasının Genel Ayarlar alanında bir bağlantı kesme iletisi gösterilir ve Sistem İletileri alanındaki sayfanın üst kısmında bir Hizmet bağlantısı hata uyarısı görüntülenir. Örneğin:

Bilgi simgesinin üzerine gelerek sorun hakkında daha fazla bilgi bulabilirsiniz. Örneğin:

Sistem İletileri altındaki Daha fazla bilgi edinin seçeneğini belirleyerek işlem yapın. Örneğin:

OT algılayıcıları için yazılım indirme

IoT için Defender yazılımını kendi gereçlerinize yüklüyorsanız veya yazılım sürümlerini güncelleştiriyorsanız OT algılayıcınız için yazılım indirmeniz gerekebilir.

Azure portalında IoT için Defender'da aşağıdaki seçeneklerden birini kullanın:

• Yeni bir yükleme için Başlarken>Algılayıcı'yı seçin. Alet satın al ve yazılım yükle alanında bir sürüm seçin ve ardından İndir'i seçin.

• OT algılayıcınızı güncelleştiriyorsanız Siteler ve algılayıcılar sayfası >Algılayıcı güncelleştirmesi (Önizleme) menüsündeki seçenekleri kullanın.

Azure portalından indirilen tüm dosyalar güven kökü tarafından imzalanarak makinelerinizin yalnızca imzalı varlıkları kullanması sağlanır.

Daha fazla bilgi için bkz . IoT OT izleme yazılımı için Defender'ı güncelleştirme.

Yeni etkinleştirme dosyasını karşıya yükleme

Her OT algılayıcısı buluta bağlı veya yerel olarak yönetilen bir OT algılayıcısı olarak eklenir ve benzersiz bir etkinleştirme dosyası kullanılarak etkinleştirilir. Buluta bağlı algılayıcılar için etkinleştirme dosyası, algılayıcı ile Azure arasındaki bağlantıyı sağlamak için kullanılır.

Yerel olarak yönetilen bir algılayıcıdan buluta bağlı bir algılayıcıya geçiş gibi algılayıcı yönetim modlarını değiştirmek veya yeni bir yazılım sürümünden güncelleştirme yapmak istiyorsanız algılayıcınıza yeni bir etkinleştirme dosyası yüklemeniz gerekir. Algılayıcınıza yeni bir etkinleştirme dosyası yüklemek, algılayıcınızı Azure portalından silmeyi ve yeniden eklemeyi içerir.

Yeni bir etkinleştirme dosyası eklemek için:

1. Aşağıdakilerden birini yapın:

   • Algılayıcınızı sıfırdan ekleme:

     1. Azure portalı>siteler ve algılayıcılar üzerindeki IoT için Defender'da OT algılayıcınızı bulun ve silin.

     2. Algılayıcıyı sıfırdan yeniden eklemek ve yeni etkinleştirme dosyasını indirmek için Ot algılayıcı > ot ekle'yi seçin. Daha fazla bilgi için bkz . Ot algılayıcılarını ekleme.

   • Geçerli algılayıcının etkinleştirme dosyasını indirin: Siteler ve algılayıcılar sayfasında yeni eklediğiniz algılayıcıyı bulun. Algılayıcının satırındaki üç noktayı (...) seçin ve Etkinleştirme dosyasını indir'i seçin. Dosyayı algılayıcınızın erişebileceği bir konuma kaydedin.

   Azure portalından indirilen tüm dosyalar güven kökü tarafından imzalanarak makinelerinizin yalnızca imzalı varlıkları kullanması sağlanır.

2. IoT için Defender algılayıcı konsolunda oturum açın ve Sistem Ayarları>Algılayıcı yönetimi>Aboneliği ve Etkinleştirme Modu'nu seçin.

3. Karşıya yükle'yi seçin ve Azure portalından indirdiğiniz dosyaya göz atın.

4. Yeni etkinleştirme dosyanızı karşıya yüklemek için Etkinleştir'i seçin.

Etkinleştirme dosyasını karşıya yükleme sorunlarını giderme

Etkinleştirme dosyası karşıya yüklenemediyse bir hata iletisi alırsınız. Aşağıdaki olaylar gerçekleşmiş olabilir:

• Algılayıcı İnternet'e bağlanamıyor: Algılayıcının ağ yapılandırmasını denetleyin. Algılayıcınızın İnternet'e erişmek için bir web ara sunucusu üzerinden bağlanması gerekiyorsa, Algılayıcı Ağ Yapılandırması ekranında proxy sunucunuzun doğru yapılandırıldığını doğrulayın. Güvenlik duvarında ve/veya ara sunucuda gerekli uç noktalara izin verilip verilmediğini doğrulayın.

  OT algılayıcıları sürüm 22.x için Azure portalındaki Siteler ve algılayıcılar sayfasından gerekli uç noktaların listesini indirin. Desteklenen yazılım sürümüne sahip bir OT algılayıcısı veya bir veya daha fazla desteklenen algılayıcıya sahip bir site seçin. Ardından Diğer eylemler>Uç nokta ayrıntılarını indir'i seçin. Önceki sürümlere sahip algılayıcılar için bkz . Azure portalına algılayıcı erişimi.

• Etkinleştirme dosyası geçerli ancak IoT için Defender dosyayı reddetti: Bu sorunu çözemiyorsanız, Azure portalındaki Siteler ve algılayıcılar sayfasından başka bir etkinleştirme indirebilirsiniz. Bu işe yaramazsa Microsoft Desteği ile iletişime geçin.

SSL/TLS sertifikalarını yönetme

Üretim ortamıyla çalışıyorsanız OT algılayıcı dağıtımınızın bir parçası olarak CA imzalı bir SSL/TLS sertifikası dağıtmış olursunuz. Otomatik olarak imzalanan sertifikaları yalnızca test amacıyla kullanmanızı öneririz.

Aşağıdaki yordamlarda, sertifikanın süresi dolmuş olması gibi güncelleştirilmiş SSL/TLS sertifikalarının nasıl dağıtılacağı açıklanmaktadır.

Sertifika karşıya yükleme hatalarını giderme

Sertifikalar düzgün oluşturulmadıysa veya geçersizse OT algılayıcılarınıza veya şirket içi yönetim konsollarınıza sertifika yükleyemezsiniz. Sertifikanızın karşıya yüklenmesi başarısız olursa ve bir hata iletisi gösterildiğinde nasıl işlem yapılacağını anlamak için aşağıdaki tabloyu kullanın:

OT algılayıcı ağ yapılandırmasını güncelleştirme

Yükleme sırasında OT algılayıcı ağınızı yapılandırmıştınız. Ot algılayıcı bakımının bir parçası olarak, örneğin ağ değerlerini değiştirmek veya bir ara sunucu yapılandırması ayarlamak için değişiklikler yapmanız gerekebilir.

OT algılayıcısı yapılandırmasını güncelleştirmek için:

1. OT algılayıcıda oturum açın ve Sistem Ayarları>Temel>Algılayıcı ağ ayarları'nı seçin.

2. Algılayıcı ağ ayarları bölmesinde OT algılayıcınız için aşağıdaki ayrıntıları gerektiği gibi güncelleştirin:

   • IP adresi. IP adresini değiştirmek, kullanıcıların OT algılayıcınızda yeniden oturum açmasını gerektirebilir.
   • Alt ağ maskesi
   • Varsayılan ağ geçidi
   • DNS. Kuruluşunuzun DNS sunucusunda yapılandırılan ana bilgisayar adını kullandığınızdan emin olun.
   • Ana bilgisayar adı (isteğe bağlı)

3. Gerekirse Ara Sunucuyu Etkinleştir seçeneğini açın veya kapatın. Ara sunucu kullanıyorsanız aşağıdaki değerleri girin:

   • Ara sunucu konağı
   • Proxy bağlantı noktası
   • Proxy kullanıcı adı (isteğe bağlı)
   • Proxy parolası (isteğe bağlı)

4. Yaptığınız değişiklikleri kaydetmek için Kaydet'i seçin.

Öğrenme modunu el ile kapatma

IoT için Microsoft Defender OT ağ algılayıcısı ağınıza bağlanıp oturum açtığınız anda ağınızı otomatik olarak izlemeye başlar. Ağ cihazları cihaz envanterinizde görünmeye başlar ve ağınızda gerçekleşen güvenlik veya işlem olayları için uyarılar tetiklenir.

Başlangıçta bu etkinlik, OT algılayıcınıza ağınızdaki cihazlar ve protokoller ve belirli cihazlar arasında gerçekleşen normal dosya aktarımları dahil olmak üzere ağınızın olağan etkinliğini öğrenmesini sağlayan öğrenme modunda gerçekleşir. Düzenli olarak algılanan tüm etkinlikler ağınızın temel trafiği olur.

Bu yordam, geçerli uyarıların ağ etkinliğinizi doğru yansıttığını düşünüyorsanız öğrenme modunu el ile nasıl kapatabileceğinizi açıklar.

Öğrenme modunu kapatmak için:

1. OT ağ algılayıcınızda oturum açın ve Sistem ayarları > Ağ izleme > Algılama altyapıları ve ağ modelleme'yi seçin.

2. Aşağıdaki seçeneklerden birini veya her ikisini de kapatın:

   • Öğrenme. Ot algılayıcısı algılamalarının ağ etkinliğinizi doğru yansıttığını hissettiğinizde algılayıcınızı dağıttıktan yaklaşık iki-altı hafta sonra bu seçeneği kapatın.

   • Akıllı BT Öğrenmesi. Belirsiz uyarı ve bildirim sayısını düşük tutmak için bu seçeneği açık tutun.

   Belirsiz olmayan davranış, DNS ve HTTP istekleri gibi normal BT etkinliğinin sonucu olan değişiklikleri içerir. Akıllı BT Öğrenmesi seçeneğini kapatmak birçok hatalı pozitif ilke ihlali uyarısını tetikleyebilir.

3. Onay iletisinde Tamam'ı ve ardından Kapat'ı seçerek değişikliklerinizi kaydedin.

Algılayıcının izleme arabirimlerini güncelleştirme (ERSPAN'ı yapılandırma)

Algılayıcınız tarafından trafiği izlemek için kullanılan arabirimleri değiştirmek isteyebilirsiniz. Başlangıçta bu ayrıntıları ilk algılayıcı kurulumunuzun bir parçası olarak yapılandırmıştınız, ancak ERSPAN izlemesini yapılandırma gibi sistem bakımı kapsamında ayarları değiştirmeniz gerekebilir.

Daha fazla bilgi için bkz . ERSPAN bağlantı noktaları.

Algılayıcınızın izleme arabirimlerini güncelleştirmek için:

1. OT algılayıcınızda oturum açın ve Sistem ayarları>Temel>Arabirim bağlantıları'nı seçin.

2. Kılavuzda, yapılandırmak istediğiniz arabirimi bulun. Aşağıdakilerden birini yapın:

   • Algılayıcının izlemesini istediğiniz arabirimler için Etkinleştir/Devre Dışı Bırak düğmesini seçin. Her algılayıcı için en az bir arabirim etkinleştirmiş olmanız gerekir.

     Hangi arabirimi kullanacağınızdan emin değilseniz, seçili bağlantı noktasının makinenizde yanıp sönmesi için Fiziksel arabirim LED'ini yanıp sönme düğmesini seçin.

     İpucu

     Ayarlarınızı yalnızca etkin olarak kullanımda olan arabirimleri izleyecek şekilde yapılandırarak algılayıcınızın performansını iyileştirmenizi öneririz.

   • İzlemeyi seçtiğiniz her arabirim için Gelişmiş ayarlar düğmesini seçerek aşağıdaki ayarlardan herhangi birini değiştirin:

     Veri Akışı Adı	Açıklama
     Mod	Aşağıdakilerden birini seçin: - Varsayılan SPAN bağlantı noktası yansıtmasını kullanmak için SPAN Trafiği (kapsülleme yok). - ERSPAN yansıtma kullanıyorsanız ERSPAN. Daha fazla bilgi için bkz . OT algılayıcıları için trafik yansıtma yöntemi seçme.
     Açıklama	Arabirim için isteğe bağlı bir açıklama girin. Bunu daha sonra algılayıcının Sistem ayarları > Arabirim yapılandırmaları sayfasında göreceksiniz ve bu açıklamalar her arabirimin amacını anlamanıza yardımcı olabilir.
     Otomatik anlaşma	Yalnızca fiziksel makineler için geçerlidir. Hangi tür iletişim yöntemlerinin kullanıldığını veya iletişim yöntemlerinin bileşenler arasında otomatik olarak tanımlandığını belirlemek için bu seçeneği kullanın. Önemli: Bu ayarı yalnızca ağ ekibinizin tavsiyesi üzerine değiştirmenizi öneririz.

   Örneğin:

   

3. Yaptığınız değişiklikleri kaydetmek için Kaydet'i seçin. Algılayıcı yazılımınız değişikliklerinizi uygulamak için yeniden başlatılır.

OT sensöründe saat dilimlerini eşitleme

Ot algılayıcınızı belirli bir saat dilimiyle yapılandırmak isteyebilirsiniz; böylece tüm kullanıcılar, kullanıcının konumundan bağımsız olarak aynı saatleri görebilir.

Saat dilimleri uyarılarda, eğilimlerde ve istatistik pencere öğelerinde, veri madenciliği raporlarında, risk değerlendirme raporlarında ve saldırı vektör raporlarında kullanılır.

Ot algılayıcının saat dilimini yapılandırmak için:

1. OT algılayıcınızda oturum açın ve Sistem ayarları>Temel>Saat ve Bölge'yi seçin.

2. Saat ve Bölge bölmesine aşağıdaki ayrıntıları girin:

   • Saat Dilimi: Kullanmak istediğiniz saat dilimini seçin

   • Tarih Biçimi: Kullanmak istediğiniz saat ve tarih biçimini seçin. Desteklenen biçimler şunlardır:

     • dd/MM/yyyy HH:mm:ss
     • MM/dd/yyyy HH:mm:ss
     • yyyy/MM/dd HH:mm:ss

   Tarih ve Saat alanı, seçtiğiniz biçimde geçerli saatle otomatik olarak güncelleştirilir.

3. Yaptığınız değişiklikleri kaydetmek için Kaydet'i seçin.

SMTP posta sunucusu ayarlarını yapılandırma

OT algılayıcınızda SMTP posta sunucusu ayarlarını tanımlayarak OT algılayıcısını diğer sunuculara ve iş ortağı hizmetlerine veri gönderecek şekilde yapılandırın.

Şirket içi yönetim konsolundan bağlantısı kesilmiş algılayıcılar, başarısız algılayıcı yedekleme almaları ve SPAN izleme bağlantı noktası hataları hakkında e-posta uyarılarını etkinleştirmek ve posta iletmeyi ayarlamak ve iletme uyarı kurallarını yapılandırmak için yapılandırılmış bir SMTP posta sunucusuna ihtiyacınız vardır.

Ön koşullar:

SMTP sunucusuna algılayıcının yönetim bağlantı noktasından ulaşabildiğinizden emin olun.

OT algılayıcınızda bir SMTP sunucusu yapılandırmak için:

1. OT algılayıcısında oturum açın ve Sistem ayarları>Tümleştirmeler>Posta sunucusu'nu seçin.

2. Görüntülenen Posta Sunucusu Yapılandırmasını Düzenle bölmesinde SMTP sunucunuzun değerlerini aşağıdaki gibi tanımlayın:

   Parametre	Açıklama
   SMTP Sunucusu Adresi	SMTP sunucunuzun IP adresini veya etki alanı adresini girin.
   SMTP Sunucusu Bağlantı Noktası	Varsayılan = 25. Değeri gerektiği gibi ayarlayın.
   Giden Posta Hesabı	Algılayıcınızdan giden posta hesabı olarak kullanılacak bir e-posta adresi girin.
   SSL	Algılayıcınızdan güvenli bağlantılar için açın.
   Kimlik Doğrulaması	Açın ve ardından e-posta hesabınız için bir kullanıcı adı ve parola girin.
   NTLM kullanma	NTLM'yi etkinleştirmek için açık konuma getirin. Bu seçenek yalnızca Kimlik Doğrulama seçeneğinin açık olduğu durumlarda görünür.

3. Bitirdiğinizde Kaydet'i seçin.

PCAP dosyalarını karşıya yükleme ve yürütme

OT algılayıcınızın sorunlarını giderirken, belirli bir PCAP dosyası tarafından kaydedilen verileri incelemek isteyebilirsiniz. Bunu yapmak için OT algılayıcınıza bir PCAP dosyası yükleyebilir ve kaydedilen verileri yeniden yürütebilirsiniz.

Algılayıcı konsolunun ayarlarında PCAP Oynat seçeneği varsayılan olarak etkindir.

Karşıya yüklenen dosyalar için boyut üst sınırı 2 GB'tır.

PCAP oynatıcısını algılayıcı konsolunuzda göstermek için:

1. Algılayıcı konsolunuzda Sistem ayarları > Algılayıcı yönetimi > Gelişmiş Yapılandırmalar'a gidin.

2. Gelişmiş yapılandırmalar bölmesinde Pcaps kategorisini seçin.

3. Görüntülenen yapılandırmalarda olarak değiştirin enabled=0 enabled=1ve Kaydet'i seçin.

PCAP'yi Yürüt seçeneği artık algılayıcı konsolunun ayarlarında şu şekilde kullanılabilir: Sistem ayarları > Basic > Play PCAP.

Bir PCAP dosyasını karşıya yüklemek ve yürütmek için:

1. Algılayıcı konsolunuzda Sistem ayarları > Temel > Yürütme PCAP'yi seçin.

2. PCAP PLAYER bölmesinde Karşıya yükle'yi seçin ve karşıya yüklemek istediğiniz dosyaya veya birden çok dosyaya gidin ve seçin.

   

3. PCAP dosyanızı yürütmek için Yürüt'e veya yüklü olan tüm PCAP dosyalarını yürütmek için Tümünü Oynat'a tıklayın.

Belirli analiz altyapılarını kapatma

Varsayılan olarak, her OT ağ algılayıcısı yerleşik analiz altyapılarını kullanarak alınan verileri analiz eder ve hem gerçek zamanlı hem de önceden kaydedilmiş trafiğe göre uyarılar tetikler.

Tüm analiz motorlarını açık tutmanızı önersek de, ot algılayıcısı tarafından izlenen anomali ve risk türlerini sınırlamak için OT algılayıcılarınızdaki belirli analiz motorlarını kapatmak isteyebilirsiniz.

Ot algılayıcının analiz altyapılarını yönetmek için:

1. OT algılayıcınızda oturum açın ve Sistem ayarları > Ağ izleme > Özelleştirme > Algılama altyapıları ve ağ modelleme'yi seçin.

2. Algılama altyapıları ve ağ modelleme bölmesindeki Altyapılar alanında aşağıdaki altyapılardan birini veya birkaçını kapatın:

   • Protokol İhlali
   • İlke İhlali
   • Kötü amaçlı yazılım
   • Anomali
   • Operasyonel

   İlgili anomalileri ve etkinlikleri yeniden izlemeye başlamak için altyapıyı yeniden açın.

   Daha fazla bilgi için bkz . IoT için Defender analiz altyapıları.

3. Değişikliklerinizi kaydetmek için Kapat'ı seçin.

Analiz altyapılarını şirket içi yönetim konsolundan yönetmek için:

1. Şirket içi yönetim konsolunuzda oturum açın ve Sistem Ayarları'nı seçin.

2. Algılayıcı Altyapısı Yapılandırması bölümünde, ayarları uygulamak istediğiniz bir veya daha fazla OT algılayıcısını seçin ve aşağıdaki seçeneklerden herhangi birini temizleyin:

   • Protokol İhlali
   • İlke İhlali
   • Kötü amaçlı yazılım
   • Anomali
   • Operasyonel

3. Değişikliklerinizi kaydetmek için DEĞIŞIKLIKLERI KAYDET'i seçin.

OT algılayıcı verilerini temizleme

OT algılayıcınızı yeniden taşımanız veya silmeniz gerekiyorsa, OT algılayıcısı üzerinde algılanan veya öğrenilen tüm verileri temizlemek için bu algılayıcıyı sıfırlayın.

Buluta bağlı bir algılayıcıdaki verileri temizledikten sonra:

• Azure portalındaki cihaz envanteri paralel olarak güncelleştirilir.
• Azure portalında ilgili uyarılarla ilgili bazı eylemler artık desteklenmemektedir; örneğin PCAP dosyalarını indirme veya uyarıları öğrenme.

Sistem verilerini temizlemek için:

1. OT algılayıcısında yönetici kullanıcı olarak oturum açın. Daha fazla bilgi için bkz . Varsayılan ayrıcalıklı şirket içi kullanıcılar.

2. Destek Verileri>temizle'yi seçin.

3. Onay iletişim kutusunda, algılayıcıdaki tüm verileri temizlemek ve sıfırlamak istediğinizi onaylamak için Evet'i seçin. Örneğin:

   

Eylemin başarılı olduğunu belirten bir onay iletisi görüntülenir. Tüm öğrenilen veriler, izin verilenler, ilkeler ve yapılandırma ayarları algılayıcıdan temizlenir.

Algılayıcı eklentilerini yönetme ve eklenti performansını izleme

Algılayıcı konsolundaki Protokoller DPI (Horizon Eklentileri) sayfasını kullanarak algılayıcınız tarafından izlenen her protokolün verilerini görüntüleyin.

1. OT algılayıcı konsolunuzda oturum açın ve Sistem ayarları Ağ izleme > Protokolleri DPI'sı (Horizon Eklentileri)'i seçin.>

2. Aşağıdakilerden birini yapın:

   • Algılayıcınız tarafından izlenen protokolleri sınırlamak için, gerektiğinde her eklenti için Etkinleştir/Devre Dışı Bırak iki durumlu düğmesini seçin.

   • Eklenti performansını izlemek için, her eklentinin Protokoller DPI (Horizon Eklentileri) sayfasında gösterilen verileri görüntüleyin. Belirli bir eklentiyi bulmaya yardımcı olmak için, eklenti adının bir bölümünü veya tamamını girmek için Arama kutusunu kullanın.

Protokoller DPI'sı (Horizon Eklentileri) eklenti başına aşağıdaki verileri listeler:

Günlük verileri, Dissection istatistiklerinde ve Dissection Günlüklerinde, günlük dosyalarında dışarı aktarabilirsiniz. Daha fazla bilgi için bkz . Sorun giderme günlüklerini dışarı aktarma.

Sonraki adımlar

Daha fazla bilgi için bkz.

• Algılayıcıları şirket içi yönetim konsolundan yönetme
• Algılayıcı etkinliğini izleme
• Algılayıcı sorunlarını giderme